CVE-2026-121932: OS command injection in Linksys E5350

CVE-2026-121932 identifica un'iniezione di comando del sistema operativo unauthenticata in Linksys E5350 versione 1.0.00.037. La falla risiede nella funzione system del file /wizard/apply.cgi e può essere sfruttata manipolando i parametri ping_ip e traceroute_ip. Un attaccante remoto può eseguire comandi di sistema arbitrari senza alcuna autenticazione, compromettendo completamente il dispositivo.

La falla è classificata con CVSS 10,0 (critical) e riflette il massimo livello di rischio: esecuzione remota non autenticata, impatto completo su confidenzialità, integrità e disponibilità. Secondo i dati ufficiali NVD, l'exploit è già pubblico e utilizzabile. Il vendor Linksys è stato contattato in anticipo ma non ha fornito alcuna risposta. A oggi non è stata rilasciata alcuna patch ufficiale. La segnalazione su canali pubblici (3 post nelle ultime 24 ore) conferma l'interesse della comunità di sicurezza.

Per i team IT e CISO che gestiscono infrastrutture con Linksys E5350: verificare immediatamente se il modello è presente in rete, soprattutto in ambienti esposti a Internet. Implementare regole firewall per bloccare o limitare l'accesso al percorso /wizard/apply.cgi da reti non fidate. Monitorare i log di sistema e della rete per tentativi di sfruttamento. Contattare il supporto Linksys per informazioni sulla disponibilità di firmware aggiornato. In attesa di patch, valutare il ritiro del dispositivo o il suo isolamento dalla rete critica.

Linksys E5350 è un router WiFi commerciale frequentemente utilizzato in ambienti small-to-medium business e reti domestiche avanzate. La vulnerabilità nel wizard di configurazione web è particolarmente critica perché espone un'interfaccia di amministrazione a rischi elevati. La mancanza di risposta del vendor è un segnale preoccupante e sottolinea l'importanza della valutazione continua del ciclo di vita dei dispositivi di rete.